Obtenir l'extension Le modèle de menace de Locker Protocol
Ce contre quoi nous protégeons, ce contre quoi nous ne protégeons pas, et pourquoi nous avons choisi la vérifiabilité plutôt que le matériel de confiance.
Trois principes
Un air gap par construction, pas par politique
L'appareil de signature n'a ni USB, ni Bluetooth, ni réseau. Requêtes et signatures passent par des QR codes que vous pouvez voir. Une propriété garantie par la physique n'a pas besoin de promesse.
Vérifiable vaut mieux que certifié
Les contrats, là où vivent réellement vos fonds, sont publiés et vérifiés on-chain sur les 9 réseaux. La certification demande votre confiance ; un contrat vérifié n'en a pas besoin.
Pas de compte, rien à expédier
Rien à enregistrer, rien d'expédié : nous ne détenons ni votre nom ni votre adresse postale. La mesure d'usage de l'extension est active par défaut et se coupe dans les Réglages.
Les menaces, honnêtement
Malwares distants et draineurs de wallets
Les clés vivent sur un appareil sans connexion réseau. Un malware sur votre ordinateur peut proposer une transaction, mais seul le coffre hors ligne peut la signer, après que vous l'avez lue.
Signature aveugle et phishing
Le coffre décode chaque requête en champs lisibles sur un écran de confiance avant la signature. Ce que vous signez est ce que vous avez vu.
Compromission du fournisseur ou de la supply chain
Aucun matériel n'est vendu, donc aucun ne peut être intercepté. Les mises à jour n'arrivent que par les stores des navigateurs, et les contrats qui détiennent vos fonds sont vérifiés on-chain.
Perte ou destruction de l'appareil
La sauvegarde papier est un QR code chiffré. Imprimez-la, rangez-la, restaurez sur n'importe quel téléphone avec votre mot de passe.
Vol physique avec équipement de laboratoire
Le coffre est chiffré au repos derrière votre mot de passe. Mais un téléphone n'a pas de secure element certifié : face à un attaquant équipé d'un laboratoire qui tient l'appareil, la puce d'un hardware wallet résiste mieux. Sur ce point précis, un Ledger gagne, et nous le disons.
Coercition (la clé à molette à 5 $)
Aucun wallet ne résiste à la coercition physique. La réponse structurelle est le multisig M-parmi-N : personne, contraint ou non, ne peut déplacer les fonds seul.
Là où un secure element gagne
Un secure element certifié (CC EAL5+) résiste à l'extraction physique des clés : décapsulation, glitching, canaux auxiliaires. Si votre risque principal est un attaquant sophistiqué qui saisit physiquement votre signeur, une puce dédiée défend mieux ce scénario qu'un téléphone. Nous publions cette page pour que vous fassiez cet arbitrage en conscience, plutôt que de le découvrir plus tard.
Pourquoi du logiciel malgré tout
En 2023, Ledger Recover a démontré que c'est le firmware qui décide de ce que fait un secure element : la puce a protégé la seed jusqu'au jour où son fournisseur a livré une porte de sortie. Un composant que vous ne pouvez pas inspecter ne vous protège que tant que son fournisseur le veut bien. Nous préférons des propriétés que vous pouvez vérifier à des promesses qu'il faut croire.
Ne nous croyez pas non plus : vérifiez
2000+
tests automatisés, exécutés à chaque changement
7
smart contracts, déployés sur 9 chaînes
0
finding d'analyse statique, configuration publiée
100 %
des contrats publiés et vérifiés on-chain